safe-audit-fix

Beheben Sie npm-security vulnerabilities without breaking your app.

npm audit fix --force kann stillschweigend Hauptversionen überspringen, Pakete herabstufen und Ihren Build zerstören. safe-audit-fix verfolgt den gegenteiligen Ansatz — wie ein vorsichtiger Chirurg statt eines Vorschlaghammers:

1. Erst planen — jede Änderung wird vorab mit einem Risiko gekennzeichnet (low / moderate / high-breaking).

2. Ein Fix nach dem anderen — keine Big-Bang-Änderung.

3. Nach jedem Fix testen — nach jedem Schritt wird Ihr eigener Testbefehl ausgeführt.

4. Automatisches Zurücksetzen — falls Installation oder Tests fehlschlagen, wird dieser Fix sofort rückgängig gemacht (package.json + lockfile werden wiederhergestellt, node_modules neu synchronisiert).

5. Breaking-Upgrades sind ein Opt-in — Major-Versionssprünge werden übersprungen, es sei denn, Sie übergeben --include-major; selbst dann sind sie durch Tests geschützt.

6. Vollständiges Rückgängigmachen — safe-audit-fix revert stellt alles von vor dem Lauf wieder her.

Es funktioniert auf zwei Wegen mit derselben Engine:

                 ┌────────────────────┐
   you ──────────►      CLI            │
                 ├────────────────────┤──► core engine: scan → plan → fix one → test → keep/revert
   AI assistant ─►   MCP server        │
   (Claude Code, └────────────────────┘
    Cursor, ...)

Voraussetzungen

• Node.js ≥ 18, npm ≥ 7 (benötigt das moderne npm audit --json-Format)

• Eine package-lock.json im Zielprojekt (falls nicht vorhanden, einmal npm install ausführen)

Related MCP server: locklens

Installation

Sofort ausprobieren – ganz ohne Installation (im Projektordner ausführen):

npx safe-audit-fix scan
npx safe-audit-fix fix

Oder global installieren:

npm install -g safe-audit-fix
safe-audit-fix scan

Oder aus dem Quellcode:

git clone https://github.com/pasindudilshan1/safe-audit-fix.git
cd safe-audit-fix
npm install
npm link        # makes the `safe-audit-fix` command available globally

CLI-Verwendung

safe-audit-fix scan                 # show vulnerabilities + whether each fix is safe or breaking
safe-audit-fix plan                 # show the ordered fix plan (changes nothing)
safe-audit-fix fix                  # apply fixes one at a time, testing after each
safe-audit-fix fix --include-major  # also attempt breaking upgrades (test-protected)
safe-audit-fix fix --dry-run        # preview only
safe-audit-fix fix --test "npm run test:unit"   # custom verify command
safe-audit-fix fix --no-test        # skip test verification (install failures still revert)
safe-audit-fix revert               # undo the entire last fix run

Alle Befehle akzeptieren --dir <path>, um ein anderes Projekt anzusprechen, und scan/plan akzeptieren --json.

Bevor ein Fix angewendet wird, werden Ihre Tests einmalig als Baseline ausgeführt – wenn sie bereits fehlschlagen, verweigert das Tool den Start (andernfalls würde jeder Fix zu Unrecht als Fehlerursache gewertet und zurückgesetzt).

MCP-Server (Nutzung mit Claude Code, Cursor usw.)

Registrieren Sie den Server und bitten Sie dann einfach Ihren KI-Assistenten: „Beheben Sie sicher die Schwachstellen in meinem Projekt“.

Claude Code:

claude mcp add safe-audit-fix -- npx -y --package=safe-audit-fix safe-audit-fix-mcp

Oder über .mcp.json / MCP-Konfigurationsdatei:

{
  "mcpServers": {
    "safe-audit-fix": {
      "command": "npx",
      "args": ["-y", "--package=safe-audit-fix", "safe-audit-fix-mcp"]
    }
  }
}

(Falls Sie die globale Installation verwenden, können Sie safe-audit-fix-mcp direkt als Befehl nutzen, statt npx.)

Verfügbare Tools:

Im Vergleich

Verwendung der Bibliothek

Die Engine ist direkt importierbar:

import { scan, planFix, fixAll, revertSession } from 'safe-audit-fix';

const result = fixAll('/path/to/project', { includeMajor: false });
console.log(result.applied, result.failed, result.blocked);

Roadmap

• --explain: ein LLM verwenden, um die Changelog- bzw. Breaking-Changes-Einträge eines geplanten Major-Upgrades zusammenzufassen

• Erreichbarkeitsanalyse: Schwachstellen überspringen, deren verwundbarer Codepfad nie aus Ihrem Code aufgerufen wird

• Automatische Vorschläge für overrides bei transitiven Schwachstellen ohne absehbaren Fix im übergeordneten Paket

• Unterstützung für pnpm / yarn

Lizenz

MIT